Perché i siti web limitano il numero e la scelta dei caratteri in una password? [duplicare]

Dipende dai programmatori (o dalla loro gestione) essere pigri e / o ignoranti. Non ci vuole molto più lavoro per far sì che il tuo sistema accetti qualsiasi carattere, ma significa che devi passare un po 'di tempo a pensare agli attacchi SQL injection, allo scripting cross-site, assicurandoti che tutte le parti del sistema siano in grado di gestirle , ecc. Può essere più economico e veloce solo per vietare qualsiasi carattere che potrebbe essere un problema.

Di solito le restrizioni sui "caratteri estesi" sono perché la gestione nei gruppi di programmazione bancari era un programmatore COBOL e sapeva che i set di caratteri sono difficili.

Le banche limitano i caratteri speciali, probabilmente perché stanno memorizzando le password in testo semplice, che non dovrebbero fare , e hanno paura che alcuni caratteri speciali infiltrarsi nella loro logica di business e hackerarlo.

Per quanto riguarda il limite del numero di caratteri, posso solo ipotizzare che il software su alcuni dei mainframe che usano ancora non possa gestire campi di testo più grandi di quello.

Riesco a capire come proibire i caratteri speciali, ma non ci sono scuse per i limiti di lunghezza della password. Uso un gestore di password e mi piace usare password incredibilmente lunghe. Dal momento che non devo ricordarli o digitarli, perché no?

Posso pensare ad una sola ragione per cui un sito potrebbe limitare la lunghezza della password. Le persone che gestiscono il sito temono che se lasciano che i propri utenti utilizzino password veramente valide, le dimenticheranno con maggiore frequenza e dovranno inviare un paio di ulteriori chiamate o e-mail di supporto. È una scusa molto scusa, ma è l'unica ragione possibile per una politica così stupida che posso inventare.

Questa decisione sembra essere basata su ciò che è pratico per la maggior parte degli utenti. A differenza dei programmatori e dei tecnici, molti utenti di servizi bancari online sembrano avere difficoltà a ricordare un pin di 4 caratteri, figuriamoci una password di lunghezza decente. Quale è uno dei driver per l'autenticazione a 2 fattori: dai loro un dispositivo che produce una password, quindi tutto ciò che devono fare è non perdere il dispositivo!

Rispetto al "perché non ci sono personaggi speciali" - non è la pigrizia, è una decisione sensata nel ridurre il potenziale panorama degli attacchi. Se permetti gli apostrofi, gli hash, i segni di uguale, ecc, devi essere sicuro al 100% che la tua routine di validazione dell'input catturi i tentativi di iniezione SQL, ad esempio: se autorizzi solo quei caratteri che vuoi inserire nell'input, ti risparmi un sacco di danno potenziale.

Sono d'accordo in linea di principio con Matteo - in un mondo ideale le password dovrebbero essere memorizzate solo con un hash a 1 via, tuttavia una banca perderebbe i clienti se lo facessero, quindi deve esserci un modo. Spesso, oltre agli hash memorizzati nel database principale, esiste un campo crittografato, nello stesso database o in un database separato per le password solo per questa funzione

Non sono d'accordo con la restrizione della password in questo caso, ma in generale il pieno set di caratteri unicode per la password potrebbe introdurre alcuni problemi. Per esempio. se il sistema consente di recuperare la password tramite e-mail tramite un meccanismo di convalida, la password potrebbe non essere visualizzata correttamente nel client di posta elettronica a causa della mancanza di supporto Unicode.

Per quanto riguarda il motivo per cui non sono consentiti spazi e altri caratteri speciali, ad es. nella email di recupero della password:

La tua password è: effettivamente qualcos'altro, non questo

Ermm ... confondendo sì?

vs

La tua password è ActuallySomethingElseNotThis1